admin 管理员组文章数量: 1086019
2024年4月25日发(作者：novelkeys官网)
维普资讯
计算机时代２００２年第１期 ・】７・
沈新根
（中国建设银行新江省海盐支行３１４３００）
１引言
”２ｄｂ７６ａｆｃｅＳｃ０Ｉ ７６６２７７０ｆｃ２３６０ｃｃｌｃｄ４”！
”６４８ａｌ９７５４ｆ７８０３７６９ｃ６６ｆ８７Ｉｂ９ｃＡ１７Ｉａ”！
当你看到上面的两行字符串的时候，肯定会感到很奇
怪，这是什么意思？当然．我并不要你理解这两行字符串
的意思，固为通过加密的方法臆藏了真正的信息
随着计算机应用的推广，对数据加密的要求也越来越
高．特别是因为在网络上传送的数据是采用明文的方式，
所“如何保证在数据传输的过程中不被监听或拦截，将变
得非常的重要 现在越来越多的网站采用ＰＨＰ来开发网
站，本文将介绍如伺通过ＰＨＰ的加解密功能来增强网站应
用的安全性。
２预备知识
在讲解ＰＨＰ的功能前先介绍一些关于密码学的由容，
如果你已经了解一些密码学的基本内容．请跳过本节。
消息（ｍｅｓｓａｇｅ）被称为明文（ｐｌａｉｎｔｅｘｔ）。用某种方法
曲装消息以隐藏它的内容的过程称为加密（ｃｎｃｔＴｐｔｉｏｎ），
而被加密的数据称为密文（ｃｊｐｈｅｒｔｅｘｔ）ｉ把密文转变为明
文的过程称为解密（ｄｅｃｔｙｐｔｉｏｎ）
密码编码学一般认为是使消息保密的技术和科学 数
据可 通过一些算法进行加密和解密，这些算法可以是非
常的简单、例如Ｃａｅｓｅｒ密码就是通过把每一个明文字符移
动Ｎ位的方法来实现加密。当然，现在有些算法相当的复
杂，甚至可以认为用目前已知的方法是不能破解的。
３ ＰＨＰ的加密功能
也许有些使用过非Ｗｉｎｄｏｗｓ平台的人非常熟悉ｃｒｙ ｐ１
０函数。这个函数可 用来对一些明文进行单向加密，但
是它不能把加密过的密文还原成原来的明文 从表面上看
来这个方法没有什么用处．但是 在确保系统密码完整的
领域它被广泛地应用。如果一个被单向加密过的密文落＾
第三方手中，对于他们来说没有多大的意义，因为他们不
能从这个密文中获得明文。当需要验证用户输入的密码时，
把用户的输入通过单向加密后与系统保存的密文进行比
较，如果相同，那么输入的密码就是正确的
ＰＨＰ也提供了它自己的单向加密函数ｃｒｙｐｔ（）。
ｓｔｒｉｎｇ ｃｒｙｐｔ（ｓｉｒｉｎｇ ｉｎｐｕＬｓｉｒｉｎｇ【．ｓｔｒｉｎｇ ｓａｌｔ］）
上面是ｃｒｙｐｔ（）的函数声明，参数ｉｏｐｕｔｓｔｒｉｎｇ是休想
要加密的字符串；第二十可选参数ｓａｌｔ可以使产生的密码
降低预计算攻击的威胁 政省地．ＰＨＰ使用两个字的ＤＥＳ
啦【ｔ宇串。但是，如果你的系统刚好使用的是基于ＭＤ５
（在后面将会介绍ＭＤ５算法）的密码学．那么ＰＨＰ使用Ｉ２
个字的ｓａ）ｔ的字串。你可Ⅵ利用以下的脚本知道系统的ｓａｌｔ
字串的大小：
ｐｒｉｎｔ”咐ｓｙｓｌｅｍ ｓａｌｔ ｓｉｚｅ ｌｓ：”ＣＲＹＰＴ ＳＡＬＴ
—
ＬＥＮＧＴＨ；
可能你的系统支持别的加密算法，ｃｒｙｐｔ ０总共支持
四种算法，表】列出相关的算法使用的ｓａｌｔ宇串的大小
４使用ｃｒｙｐｔ ０进行用乒认证
找们可 使用ｃｒｙｐｔ ０函数作一个例子，很设你想要
通过ＰＨＰ脚本限制某个目录只允许拥有正确的账号和密码
的用户访问。我使用ＭｙＳＱＬ来存储数据（可以使ｌ啊
ｐｂｐｍｙａｄｍｉｎ来管理Ｍｙｓｑ１）。首先创建一个表（表名为
“ｍｃｍｂ￣ｓ” 。
ｍｙｓｑＩ＞ＣＲＥＡＴＥ ＴＡＢＬＥ ｍｅｍｂｅｒｓ ｃ
一
＞ｕｓｅｒｎａｍｅ ＣＨＡＲ（１４）ＮＯＴ ＮＵＬＬ
一
＞ｐａｓｓｗｏｒｄ ＣＨＡＲ（３２）ＮＯＴ ＮＵＬＬ．
・
＞ＰＲＩＭＡＲＹ ＫＥＹ（ｕｓｅｒｎａｍｅ）
・
））．
接着、在ｒ丌ｅｍｂｅｒｓ表中加入下列记录：
Ｕｓｅｒｎａｍｅ Ｐａｓｓｗｏｒｄ
Ｃ ｒｋ ｋｅｔｏＵ１Ｃ３７７ｔＫＥ
Ｂ ｒｕｏ￣ Ｂｅ１Ｔ７ｖｎｚ９Ａｗｇｋ
Ｐｅｌｅｒ ｐａＬＵｖＲＷｓＲＬＺ４Ｕ
字段Ｐａｓｓｗ０ｒｄ的值是经过加密的．分别对应的是
“ｋｅｎｔ”，“ｂａｎｎｅｒ”和“ｐａｒｋｅｒ” 注意到它们的前两个字符
维普资讯
１８・ Ｃｏｍｐｕｔｅｒ ｅｒａ Ｎｏ．１ ２００２
・
分别和未加密的字串的前两个字符相同。
这是因为使用下面的代码来生成密码的基于前两十字
母的ｓａｌｔ：
￥ｓａｉｒ ｓｕｂｓｔｒ ｃｓｅｎｔｅｒｅｄＰａｓｓｗｏｒｄ．０．２）：
／／￥ｅｎｔｅｒｅｄＰａｓｓｗｏｒｄ是输八的明文密码
ＳｕｓｅｒＰｓｗｄ ｃｒｙｐｔ（ＳｅｎｔｅｒｅｄＰａｓｓｗｏｒｄ．￥ｓａ ）．
／／￥ｕｓｅｒＰｓｖ，ｄ是存＾ｍｙｓｑｌ的密码
利用Ａｐａｃｈｅ的ｃｈａｌｌｅｎｇｅ．＿ｃｓｐ０ｎｓｅ授权方案来提示用
户输入账号和密码。在ＰＨＰ中可以使用Ａｐａｃｈｅ的ｃｈａｌｌｅｎｇｅ—
ｒｃｓｐ０ｎｓｅ把输入的账号和密码分别作为全局变量￥ＰＨＰ＿
ＡｕｌｒＨ ｕＳＥＲ和￥ＰＨＰ＿ＡＵＴＨ ＰＷ 请阅读下面的脚本：
脚本Ｉ：使用ｃｒｙｐｔ ０和Ａｐａｃｈｅ的ｃｈａｌｌｅｎｇｅ－ｒｅｓｐｏｎｓｅ
授权方案。
（，ｐｈｐ
￥ｈｏｓｌ＝”ｌｏｃａｌｂｏｓｔ”：
￥ｕｓｅｒ＝。￣ｏｒｒｏ＂；
￥ｐｓｗｄ＝“ｈｅｔｌｏｄｏｌｔｙ’’：
￥ｄｂ＝ ｕｓｅｒｓ
设置为耒敢证
￥ａｕｔｈｏｒｉｚ￣ａｔｉｏｎ；Ｏ
枉验输八的账号和密码
ｉｆ（ｉｓｓｅｔ（￥ＰＨ口＿ＡｕＴＨ＿ＵＳＥ Ｒ）＆＆ｉｓｓｅｔ｛￥ＰＨＰ』ＵＴＨ—
Ｐ ）ｆ
ｍｙｓｑｌ￣ｏｃｏｎｎｅｃｔ（Ｓｈｏａｔ．￥ｕｓｅｒ．￥ｐｓｗ１）ｏｒ ｄｉｅ（ ＇Ｃａｎ。ｔ
ｃｏｒｌｒｌｅｃｔｔｏ ＭｙＳＱＬ
ｓｅ ｒｖｅｒ！’ ，
ｍｙｓｑｌｓｅｌｅｃｔ
＿＿
ｄｂ（Ｓｄｂ）ｏｒｄｉｅ（ Ｃａｎ。ｔ ｓｅｌｅｃｔｄａｔａｂａｓｅ！”），
“进行加毫
￥ｓａｌｔ＝ｓｕｂｓｔｒ｛￥ＰＨＰ－ＡｕＴＨ＿Ｐ ０．２）：
￥ｅｎｃ ＿ｐｇｗｄ＝ｃｗｐｔ（￥ＰＨＰ—ＡｕＴＨ—Ｐ ￥ｓａｌｔ）；
建立查询
￥ｑｕｅｒｙ＝。＂ＳＥＬＥＣＴ ｕｓｅｍａｍｅ ＦＲＯＭ ｍｅｍｂｅｒｓ ＷＨＥＲＥ
ｕｓｅｍａｍｅ＝’￥ＰＨＰ ＡＵＴＨ ＵＳＥＲ’ＡＮＤ
ｐａｓｓｗｏｒｄ＝＇￥ｅｎｃｌｙｐｔｅｄ ｐｓｖＫＩ。。’
执行查询
ｉｆ｛ｒｒｒｙｓｑＩ
＿
ｎｕｍｆｏｗｓ（ｍｙｓｑＩ＿ｑｕｅｒｙ（￥ｑｕｅｒｙ））＝＝１）（
￥ａｕｔｈｏｒｉｚａｔｉｏｎ＝１：
）
）
／／礴矗 盘
ｉｆ｛！Ｓａｕｌｈｏｒｉｚａｔｉｏｎ）ｆ
ｈｅａｄｅｒ（。ｗＶＷ Ａｕｔｈｅｎｔｉｃａｔｅ：Ｂａｓｉｃ ｅｒａｈＴｌ＝“Ｐｒｉｖａｔｅ＇”），
ｈｅａｄｅｒ ｆ ＨＴＴＰ，１ ０ ４０１ Ｕｎａｕｔｈｏｒｉｚｅｄ＇）；
Ｄｒｌｎｔ’＇Ｙｏｕ ａｒｅ ｕｎａｕｔｈｏｒｉｚｅｄ ｔｏ ｅｃｔｅｒ ｔｈｉｓ ａｒｅａ“
ｅｘｉｔ；
）
ｅｌｓｅ ｆ
ｐｒｉｎｔ。ｑ－ｈｉｓ ｉｓ ｔｈｅ ｓｅｃｒｅｔ ｄａｔａ！“．
）
，＞
这样你就拥有了一个简单的认证方案
接下来，介绍ＰＨＰ支持的另外一十函数ｒｏｄ５（）。这个
函数使用ＭＤ５散列算法。
５散列法
散列（ｈａｓｈ）函数把可变长度的消息转换成固定长度
的输出串（叫做散列值），这也可以称为 消息摘要”。这
个函数非常有用，它可以用来检查文件的完整性和检验数
字签名，另外还可以作为用户认证。ＰＨＰ内值的ｒｏｄ５（Ｊ
散列函数可以把任意长的消息转换１２８位的消息摘要。应
该注意的是因为经过转换的消息摘要已经和原来的明文没
有任何的关系，所以不可能通过消息摘要破译消息。为了
说明这点，下面的例子通过改变一个字串的一十字符，使
ＭＤ５散列算法计算出两十差别很大的消息摘要。首先我
们来看看脚本２和它的输出
脚本２：Ａ ｓｔｒｉｎｇ ｈａｓｈｅｄｗｉｔｈｒｏｄ５ ０。
（，ｐｈｐ
￥ｍｓｇ；”Ｔｈｉｓ ｉｓ ｓｏｌｍｅ ｍｅｓｓａｇｅ ｔｈａｔ Ｉ Ｊｕｓｔ ｗｒｏｔｅ“．
Ｓｅｎｃ＿ｍｓｇ＝ｒｏｄ５（￥ｍｓｇ
ｐｒｉｎｔ“ｈａｓｈ：￥ｅｎｃ＿ｍｓｇ
，＞
输出结果
ｈａｓｈ ８１ｅａ０９２６４９ｃａ３２ｂ５ｂａ３ ５ｅ８１ｄＳｆ４９７２ｃ
注意到输出得结果是３２个字符 现在来看看脚本３．
我们对￥ｍｓｇ的值作一些细微的改变：
脚本３ Ａ ｓｌｉｇｈｔｌｙ ｍｏｄｉｉｆｅｄ ｓｔｒｉｎｇ ｈａｓｈｅｄ ｗｉｔｈ ｏｒｄ５（）。
（，ｐｈｐ
把。ｍｅｓｓａｇｅ 去掉一十一Ｓ
￥ｍｓｇ＝。ｑ＇ｈｌｓ ｅｃ￣ｌｌｅ ｍｅｓａｇｅ ｔｈａｔ Ｉ ｊｕｓｔ ｗｆａ
Ｓｅｎｃ
＿
ｍｓｇ＝ｒｏｄ５｛￥ｍｓｇ）．
ｐｒｉｎｔ“ｈａｓｈ２：￥ｅｎｃ ｍｓｇ＜ｂｒ／＞＜ｂｒ，） ：
，＞
Ｔｈｅ ｏｕｆｃｏｍｅ：
ｈｓｓｈ２：ｅ８６ｃｆ５１１ｂｄ５４９０ｄ４６ｄ５ｃｄ６１７３８ｃ８２ｃ０ｃ
正如体所看到的，虽然输出的结果都是３２个字符．但
是输出串却完全不同 因此散列法和ｒｏｄ５ ０函数被广泛
地应用于检查数据中的细微变化。
虽然ｃｒｙｐｔ ０和ｒｏｄ５ ０都有它们各自的用处．但是
他们在功能上也都有相当的限制。
６关于ＰＨＰ和密码学需要注意的
关于ＰＨＰ和密码学需要注意的是当数据在服务器和客
户端之间传输的时候，数据是不安全的。ＰＨＰ是一个服务
器端的技术．它并不能在传输的过程中阻止网络刺探者的
攻击。因此，如果你想做一个完全的安全应用．建议使用
Ａｐａｃｈｅ－ＳＳＬ等其它有名的安全服务器。
版权声明：本文标题：利用PHP的加密功能保护你的数据 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：http://roclinux.cn/p/1714031027a662301.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。
发表评论